🇰🇷 한글 설명
WordPress의 Truebooker 플러그인(버전 1.1.4 이하)에서 views php 파일들이 적절히 보호되지 않아 인증되지 않은 공격자가 직접 접근하여 민감한 정보를 노출시킬 수 있는 취약점입니다. 데이터베이스 연결 정보, API 키, 사용자 정보 등이 유출될 수 있습니다.
💡 쉬운 설명
WordPress 예약 관리 플러그인의 보안이 약해서 누구나 파일에 접근해 민감한 정보를 볼 수 있습니다. 로그인 없이도 파일 내용이 노출되는 것이 문제입니다.
🇺🇸 원문 (English)
The Appointment Booking and Scheduler Plugin – Truebooker plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.1.4 through views php files. This makes it possible for unauthenticated attackers to view potentially sensitive information contained in the exposed views php files via direct access.
📍 영향받는 시스템
WordPress Truebooker plugin 버전 1.1.4 이하
⚔️ 공격 벡터
플러그인의 views php 파일에 직접 HTTP 요청으로 접근하여 정보 획득
🛡️ 대응 방법
플러그인을 1.1.5 이상으로 업데이트하거나 웹 서버 설정으로 직접 파일 접근 차단
🔧 검증 코드
HTTP 200 응답이면 파일 접근 가능(취약), 403/404 응답이면 차단된 상태(안전)
curl -s -I https://target.com/wp-content/plugins/truebooker/views/index.php && echo 'VULNERABLE' || echo 'PROTECTED'